Net-Worm.Win32.Lovesan

O Lovesan é um worm da Internet que explora a vulnerabilidade DCOM RPC no Microsoft Windows descrita no boletim de segurança da MS MS03-026 .

Lovesan é escrito em C usando o compilador LCC. O worm é um arquivo EXE do Windows PE com cerca de 6 KB (comprimido via UPX – 11KB quando descompactado).

O Lovesan faz o download e tenta executar um arquivo chamado msblast.exe.

O texto é o seguinte:

Eu só quero dizer amor você SAN !!
Por que você torna isso possível? Pare de ganhar dinheiro e conserte seu software !!

Sintomas de Infecção:

• MSBLAST.Exe na pasta system32 do Windows.
• Mensagem de erro: falha no serviço RPC. Isso faz com que o sistema seja reinicializado.

Como o verme se espalha

Lovesan se registra na chave de execução automática quando o sistema é reinicializado e se lança toda vez que o computador é reinicializado no futuro:

 HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun



windows auto update = "msblast.exe" 

O worm então verifica endereços IP, tentando se conectar a 20 endereços IP aleatórios e infectar qualquer máquina vulnerável. Lovesan dorme 1,8 segundo e examina os próximos 20 endereços IP.

O Lovesan verifica endereços IP seguindo um dos padrões abaixo:

1. Em 3 de 5 casos, Lovesan seleciona endereços IP de base aleatória (ABCD), onde D é igual a 0, enquanto A, B e C são números aleatórios entre 0 e 255.
2. Nos 2 restantes de 5 casos, Lovesan varre a sub-rede e obtém o endereço IP local da máquina infectada, extrai os valores A e B e configura D para 0. Em seguida, o worm extrai o valor C.

   Se C for menor ou igual a 20, então Lovesan não modifica C. Assim, se o endereço IP local for 207.46.14.1, o worm verificará os endereços IP a partir de 207.46.14.0

   Se C for maior que 20, Lovesan seleciona um valor aleatório entre C e C-19. Assim, se o endereço IP da máquina infectada for 207.46.134.191, o worm verificará os endereços IP 207.46. {115-134} .0

O worm envia uma solicitação de saturação de buffer para máquinas vulneráveis ​​via porta TCP 135. A máquina recém-infectada, em seguida, inicia o shell de comando na porta TCP 4444.

Lovesan executa o encadeamento que abre a conexão na porta 4444 e aguarda a solicitação 'get' do FTP da máquina vítima. O worm então força a máquina vítima a enviar a solicitação 'FTP get'. Assim, a máquina vítima faz o download do worm da máquina infectada e o executa. A máquina vítima agora também está infectada.

Outra informação

Depois que um computador é infectado, o sistema envia uma mensagem de erro sobre a falha do serviço RPC e pode reinicializar a máquina.

A partir de 16 de agosto de 2003, a Lovesan lançará ataques DDoS no servidor Windowsupdate.com.